Weaknesses of type CWE-620

109 results

Alteração de senha sem verificação

A aplicação permite que um usuário altere a senha de outro usuário (ou a sua própria) sem validar adequadamente a identidade ou solicitar a senha atual como comprovação. O atacante pode mudar credenciais sem autorização, tomando conta da conta ou bloqueando o proprietário legítimo.

Example

Um formulário de reset de senha que só pede o email, sem enviar token para confirmação, ou um endpoint de mudança de senha que não valida se o usuário autenticado é realmente o dono da conta sendo alterada. Um atacante consegue trocar a senha de qualquer usuário conhecendo apenas o ID ou email.

How to mitigate

Sempre exigir verificação de identidade antes de alterar senha: solicitar a senha atual, usar token de confirmação enviado por email/SMS, ou implementar autenticação multifator. Validar no backend que o usuário autenticado é o proprietário da conta cujos dados estão sendo modificados.

CVE-2025-59808MEDIUMAn unverified password change vulnerability [CWE-620] vulnerability in Fortinet FortiSOAR PaaS 7.6.0 through 7.6.2, FortiSOAR PaaS 7.5.0 thrEPSS 0.2%CVE-2025-3793MEDIUMBuddypress Force Password Change <= 0.1 - Authenticated (Subscriber+) Account Takeover via Password UpdateEPSS 0.2%CVE-2025-11235LOWMOVEit Transfer REST API does not require current password in order to initiate the password change processEPSS 0.2%CVE-2019-25653MEDIUMNavicat for Oracle 12.1.15 Password Field Denial of ServiceEPSS 0.2%CVE-2024-47784LOWUnverified Password ChangeEPSS 0.2%CVE-2024-21757MEDIUMA unverified password change in Fortinet FortiManager versions 7.0.0 through 7.0.10, versions 7.2.0 through 7.2.4, and versions 7.4.0 througEPSS 0.2%CVE-2026-9249LOWUnverified password change in Devolutions Server allows an attacker to change a user's password without providing the previous one via a craEPSS 0.2%CVE-2026-8327MEDIUMConcrete CMS below 9.5.0 and below is vulnerable to password change without reauthorization and session-hardening bypass.EPSS 0.2%CVE-2025-67719HIGHIbexa User Bundle is missing password change validationEPSS 0.1%